DevOps Expert General Group

برای تیم های توسعه و Devops به عنوان کسی که یک زمانی در Pentest های مجوز افتا و سامانه هشدار همکاری میکرده باید بگم، بررسی اصول OWASP Top 10 و حداقل های امنیت رو جدی بگیرید. بخش زیادی از موارد با پیشرفت فریمورک ها به صورت پیش فرض مدیریت شدن. ولی برای مثال تنظیم HttpOnly روی Cookie ها از حملات مختلفی جلوگیری میکنه. یا حتی سهل انگاری های پیش پا افتاده میتونه بخشی از زنجیره Exploit نهایی باشه. تیم Devops هم با چند Config ساده، آسیب پذیری های زیادی رو حذف میکنه و تا حد امکان به Zero-Trust شدن نزدیک میشه. • حذف هدر Server یا سایر هدرهای شناسایی تکنولوژی -> جلوگیری از Information Disclosure • بستن پورت های بلااستفاده • بهینه سازی Dockerfile با تنظیم صحیح USER غیر روت (یک مرحله در جلوگیری از privilege escalation) یا .dockerignore و استفاده از multi-stage builds • حتی تنظیم صحیح هدری مثل X-Frame-Options ( یا استاندارد جدید ترش CSP ) از حملات Clickjacking جلوگیری میکنه. با رعایت این اصول، هم سطح خودتون افزایش پیدا میکنه، هم سازمان از گزارشات پیچیده و تکراری در صورت نیاز به مجوزات افتا یا سامانه هشدار معاف میشه. ( که در نهایت به معنی آسودگی خودتون هست، چون در نهایت خودتون سرزنش میشید و باید باگ هارو پچ کنید ) @Ahura_Rahmani | #Ahur4 #OwaspTop10 #Security #Devops